Malware Analysis

When to Use

• Triaging a suspicious sample in a controlled environment.
• Producing detections (YARA/Sigma) from observed behavior.

适用场景

• 恶意软件样本分析（PE/ELF/Mach-O/APK/脚本）
• YARA 规则编写与验证
• Sigma 行为检测规则生成
• 沙箱自动化分析编排
• IOC 提取与威胁情报
• 反分析技术检测与绕过

分析边界

只处理有权分析的样本。静态解析器也处理不可信数据：保持更新，在隔离工作区使用，只读保存原始样本与SHA256。动态执行仅限可回滚、无生产凭证的专用虚拟机，禁用共享目录/剪贴板并限制网络；无行为不是无害证明。不得因时间盒或自动门闩而越过动态执行授权。上传样本或哈希到第三方前确认隐私/共享权限。文中外部tool-index、RULES与其他skill不保证已安装；缺失就报告，不伪造Evidence或测试。API导入/签名/字符串只是线索，不直接证明勒索或注入。